令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業【導入研修】

大阪急性期・総合医療センター事例＜組織編＞
2024年2月5日
一般社団法人ソフトウェア協会
加藤 智巳(株)ラック1

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本研修の構成
開催回

日程

概要

第１回

2024年1月12日
18時～

概要編

第２回

2024年1月22日
18時～

技術編

第３回

2024年2月5日
18時～

組織編

講師

萩原 健太
インターバルリンク（株）、(一社)ソフトウェア協会

板東 直樹
アップデートテクノロジー(株)、(一社)ソフトウェア協会

加藤 智巳(株)ラック、(一社)ソフトウェア協会※内容は変更する場合がございます。

2

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

agenda「ITガバナンスの欠如」が意味するもの～何故、あのような脆弱な設定が許されたのか～

ITガバナンスの重要性
ITガバナンスの難しさ

経営者に心配してほしい４つのこと～セキュリティを自分事にしてもらうには～

既存のBCPどのように見直すか～見直しのポイント～

組織とITガバナンスの構築への取り組み ＜OGMCの事例＞

3

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「ITガバナンスの欠如」が意味するもの〜何故、あのような脆弱な設定が許されたのか〜

4

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「ITガバナンスの欠如」と指摘された専門家チームおよび調査委員会にて、「ITガバナンスの欠如」が、今回のサイバー攻撃を招いた背景と指摘された。
＜専門家チームより指摘された「ITガバナンスの欠如」の内容＞◆電子カルテ、部門システム、医療機器などの資産管理が欠如➢ 脆弱性管理がされていない外部ネットワーク接続機器や、部門LANが複数存在➢ これらはインシデント発生を想定しておらず、セキュリティ対策がされなかった◆契約及び法制度に基づくガバナンス体制が不足➢ ベンダー依存度が高く、かつ、責任分界点が不明瞭➢ ベンダーが行うべき各種ガイドラインへの対応がされなかった

5

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ランサムウェア攻撃を容易にした脆弱設定＜技術編＞P.14 「全体構成概要」より① VPN 装置 Fortigate の脆弱性
② Built-In Administrator の PW が “P@ssw0rd”③ Built-In Administrator のパスワードの使いまわし④ ファイル共有に栄養給食サーバーの管理者ID/PWを使用⑤ RDP 接続が常時許可⑥ 病院側サーバー系の Built-In Administrator PW を使いまわし＜技術編＞P.15〜22を参照

6

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「ITガバナンスの欠如」からの脱却には＜「ITガバナンス欠如」のキーワード＞
１．セキュリテイに関する責任分界点と役割
２．複数ベンダーPJにおけるリスク評価
３．セキュリティ仕様の不適合と共通化
４．資産の一元管理
５．ベンダーとの組織的な検証
６．医療情報システム安全管理責任者※項目1,2,3,5は、ベンダーはセキュリティに関して十分な知見があるという前提
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)＜技術編＞P.24「運用を優先した設定(脆弱性)が重なって招いたインシデント」＜概要編＞P.9「ITガバナンスの欠如」より

では、「ベンダーは業務の専門家であり、セキュリティの専門家ではなかった」と結論

つまり、医療情報システム安全管理責任者(経営者)のもと、守るべき資産を全て把握・管理し、「ベンダーはセキュリティの専門家ではない」との可能性を前提に、調達に関して適切な契約を締結するとともにセキュリティ要件を吟味せよ。
7

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンスと経営者＜そもそもITガバナンスとは＞組織のITの現在及び将来の利用を指示し、管理するシステム。

ITガバナンスは、組織を支援するためにITの利用を評価すること及び指示すること，並びに計画を遂行するためにこのIT利用をモニタすることに関係する。
これには組織におけるITの利用に関する戦略及び方針を含む。

（JISQ38500）＜よく耳にする声＞

・ 病院は人命を守ることを最優先する・ 経営者はITの専門家ではない
・ 医療安全管理体制維持の予算はあるが情報セキュリティ予算は明示的でない

ITガバナンスの定義は、組織が主体的にITの利用と管理、そのモニタをすることが前提
さらに、組織におけるITの利用に関する戦略及び方針を含む、とある
8

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

【今回の研修のテーマ】「 経営者は自組織の情報セキュリティをどこまで理解するべきか？ 」と、自覚してもらうにはどうすればいいか。
9

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンスの重要性

10

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

大阪急性期総合医療センターの被害
項目
病床数

内容
865床

職員数
診療科

2,014人
36診療科

項目

詳細
一般：831床（再掲ICU,CCU,SCU,HCU,MFICU,NICU,GCU計91床）
精神：34床医師数；259人、研修医：50人、看護師数；1,024人（2022年4月1日時点）
基幹災害拠点病院、地域医療支援病院、臨床研修指定病院
高度救命救急センター、地域周産期母子医療センター、大阪府小児地域医療センター
地域がん診療連携拠点病院、がんゲノム医療連携病院、大阪府がん患者妊よう性温存治療実施医療機関 他

医業収益

2019年度309.4億円

2020年度286.7億円

2021年度296.2億円

2022年度277.4億円

新入院患者数

23,649人/年

18,440人/年

18,256人/年

17,188人/年

延入院患者数

273,683人/年
748人/日224,353/年 218,529人/年 208,794人/年
615人/日599人/日572人/日

初診患者数

35,828人/年

25,842人/年

外来患者数

335,114人/年 289,309人/年 294,942人/年 283,266人/年
1,396人/日
1,191人/日
1,219人/日
1,166人/日

紹介率
平均在院日数（一般病棟）
救急車搬入患者数
中央手術室手術件数（眼科除く）

医業収支比率
給与費比率
材料費比率

27,262人/年

27,061人/年

94.7％
9.2日
9,872人/年

98.6％
9.7日
5,628人/年

101.5％
9.6日
6,390人/年

102.8％
10.0日
7,402人/年

6,940件/年

5,959件/年

6,164件/年

5,556件/年

99.5％
45.8％
32.1％

93.2％
50.9％
31.3％

93.9％
49.8％
32.1％

91.8％
51.4％
33.7％

11

11月比較

12月比較

2022年

2021年

比率

2022年

2021年

比率

新入院患者数
（人）

558

1,674

33
%

888

1,625

55
%

延入院患者数（人）

10,191

19,26753%

10,932

19,518

56
%

465

2,605

15,74425,575168597

救急車搬入件数（人）

88

入院診療行為額（百万円）

外来診療行為額
（百万円）

初診患者数
（人）
延外来患者数（人）
中央手術室手術件数
（件）

18
%
62
%
28
%

1,078

2,499

43
%
70
%
39
%

17,95525,680

227

586

679

13
%

447

665

67
%

807

1,727

47
%

1,016

1,773

57
%

376

675

56
%

454

696

65
%

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

大阪急性期総合医療センターの被害
被害額：20億円以上診療制限に伴う逸失利益：

18.8億円

調査復旧費用：数億円以上

通常業務への復帰期間：

2ヶ月

通常業務復帰後の影響期間：

1ヶ月 (患者数実績で評価)

地域社会への影響：甚大

12

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

想定リスク例 (OGMCを参考)(1)医療事故・紛争リスク

・誤投薬による死亡事故 (2014年)

・メスなどを再利用 (2017年)(2)コンプライアンス事案リスク・公金流用問題 (2016年)

・マタハラ報道 (2017年)(3)大規模災害リスク

・南海トラフ巨大地震、パンデミック、近隣の大規模事故等(4)情報セキュリティリスク・ランサムウェア事案（2022年)

甚大な被害を及ぼしたランサムウェア事案は想定外のリスクだった。
13

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

厚生労働省ガイドラインV6 経営管理編
2.2.1 リスク評価を踏まえたリスク管理① リスク評価を踏まえ、医療情報の重要性及び医療の継続性並びに経営資源の投入及びリスク管理対策の実施の継続可能性等を鑑みて、リスク管理方針を決定すること。
② リスク分析を踏まえたリスク管理が必要な場面の整理、対策として求められる体制、並びにルール等の企画、整備及び管理について、企画管理者に指示すること。

③ 経営層の方針及びリスク分析を踏まえ、具体的にシステム面からの最適なリスク管理措置を検討し、実装、運用するよう、企画管理者に指示すること。
3.1.2 医療情報システムにおける統制上の留意点③ 情報セキュリティ対策に関する統制は、医療機関等内の組織や人事等の統制とは区別し、医療機関等全体における統制の一つと位置付けて、組織横断的に実施すること。

14

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

厚生労働省ガイドラインV6 経営管理編
3.4.1 事業継続計画（BCP：Business Continuity Plan）の整備と訓練① 情報セキュリティインシデントの発生に備え、非常時における業務継続の可否の判断基準、

継続する業務内容の選定等に係る意思決定プロセスを検討し、BCP 等を整備すること。
② 情報セキュリティインシデントにより、医療機関等内の医療情報システムの全部又は一部に影響が生じる場合に備え、医療情報システムの適切な復旧手順を検討するよう、企画管理者

やシステム運用担当者に指示するとともに、当該復旧手順について随時自己点検を行うよう指示した上で、その結果報告を受け、必要に応じて、改善に向けた対応を指示すること。
③ 通常時に整備していた BCP が、非常時において迅速かつ的確に実施できるよう、通常時から定期的に訓練・演習を実施し、その結果を踏まえ、必要に応じて改善に向けた対応を
企画管理者やシステム運用担当者に指示すること。

15

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

経営者しかできないこと
リソース(人、モノ、金)の重要な割当(分配)に関する決定は経営者しかできない
課題・問題を解決する施策等が計画できない、または進まない原因の殆どは、「人員不足」か「予算がない」である。
ベンダーが言う「対応できない」は、コスト増以外に合理的な理由が見つからない(大阪急性期総合医療センターに収められている50社80システムに関するヒアリング結果より)
医療安全管理体制のための予算は明示的にあるが、明確な情報セキュリティ予算はない

限られたリソースの割振り責任を担っているにも関わらず、セキュリティ対策の課題を理解せずに予算は決められないはずだが。。。

16

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

経営者の責任サイバー・セキュリティリスクは大規模自然災害と同様に重大リスクとして認識
し管理しなければならない。
サイバー・セキュリティリスクは長期にわたる事業継続への影響があるため、情報システム運用を対象とした事業継続計画を策定する必要がある。
そのBCPの策定には、情報セキュリティ対策およびその運用に密接に関係するため、ITガバナンスの醸成と組織のリソース割当(人員、予算)に責任がある。

17

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンスの難しさ

18

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

なぜ、具体的な課題・問題が話題にならないか【情報システム担当の視点】
そもそも「大丈夫か？」なんて聞かれたことがない「予算内で完璧にしろ」と言われ続けるだけなので、聞かれたくない。
「専門的なことはわからん！」と言われ、報告の機会を逸する【経営者の視点】
聞いてもわからんしちゃんとしたベンダーにまかせてるし人が足りんとか金の話ばかりされるしITガバナンスの欠如(形骸化)状態でのあるある
19

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「大丈夫です。」は大丈夫じゃない？！
「自組織の情報セキュリティは大丈夫？」に対して・・・「厚生労働省ガイドラインは遵守しています」「昨今の病院インシデントに対する対応は問題ありません」「ベンダーにまかせてます」「与えられた予算内で頑張ってます」

情報セキュリティに万全な対策など存在しない。
故に、具体的な課題・問題が返ってくるのがITガバナンスの正常状態
そして、情報セキュリティが高度になればなるほど、課題も高度になる。
これらをぜひ経営者に理解してほしい。
20

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

どうやって現状の課題を経営者と共有するか
理想は、経営者が責任を持って課題の有無を問いただすこと、だが、
現実はそうではない。では、どうするか。。。

OGMC事例をもとに、代表的なITガバナンスの課題を話題に出し、自組織の現状について(正直に)ディスカッションする

つまり、この資料を使って経営者にフィードバックしてください21

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

経営者に心配してほしい４つのこと〜セキュリティを自分事にしてもらうには〜

22

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

経営者に「セキュリティを自分事」にしてもらうためには「セキュリティ対策に完璧はない」と認識してもらい、「現実はどのくらい出来ていないのか」を確認してもらうことが重要
4つの心配してほしいことには、通常完璧にはできないポイントがある※本研修では10のポイントを紹介(経営者としてのリスク管理)(セキュリティ対策の肝)

10のポイントに対して、可能な限り具体的な施策、その課題・問題を回答する※真摯に回答する(ここで正直に答えなければ意味がないです。)※課題・問題に対する施策がない、又は進まない原因を明確にする

23

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

経営者に心配してほしい４つのこと
・サイバー攻撃は対策の隙をねらうもの(隙が多いほど、標的にされ損失が拡大する)・隙ができる理由は様々ある。
・隙を減らすには、ベンダー責任にせず
自組織が管理するしかない・隙を減らすには。中長期的な情報システム調達方針や、ベンダーとの関係性が重要(※1)

【心配１】
把握しているモノは全てか？

・守るべきモノを全て把握するのはセキュリティの一丁目一番地。
・把握できない理由は様々ある。
・把握できないモノを減らすには、中長期的な情報システム調達方針や、ベンダーとの関係性が重要(※1)

・情報システム利用者個々の業務・役割、権限がちゃんと
うちのセキュリティ
して(※2)いなければ、隙を無く大丈夫？
しても意味がない。
【心配4】・ちゃんとできなくなる理由は被害にあったら
【心配３】
【心配2】
様々ある。
利用者と
隙はどのくらい・ちゃんとするには、中長期的認証は適切か？
あるのか？
な情報システム調達方針や、・完璧な対策はないし、完璧に出来ないことは当然あるので、
ベンダーとの関係性が重要(※1)
いつかは被害に合うと考えるのが妥当。
(※1)資産管理、脆弱性管理、セキュリティ要件の適用について、コスト低減や効率向上を実現するには、情報システム調達基準を設け、ベンダーとの調整が必須。
・被害にあったときのダメージをいかに少なくするか。それには(※2)情報システム利用者、個々の業務・役割、権限について、運用管理上と現実が一致し、「必要な人が必要なものだけを利用する状態」を維持すること。
サイバー攻撃のためのBCPが重要。
24

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「経営者に心配してほしい４つのこと」のポイント ①
ポイント1. 院内のネットワークに繋がっている「全てのモノ」をどうやって把握して管理してるの？
・ネットワーク構成図は作ってある？
→ ベンダーが提示する構成図は納入対象のみ。全体を網羅した概要図はユーザーが作るしか無い。

・ヤバい脆弱性が公表されたとき、うちに関係あるのかは、すぐわかるの？
→ 重要な脆弱性情報とOSバージョンの紐づけは重要＜技術編＞P.15 「① VPN 装置 Fortigate の脆弱性」

・業者が勝手に繋げても分かるの？
→ メンテナンス用のVPNやルーターの持込情報は、情報システム担当に報告されないことが多い。
・附帯設備にパソコンとか含まれてないの？
→ (例)ナースコールシステムなど建築設備調達の場合だと情報システムとして管理されない可能性がある。
・実際に把握するまでの期間は最悪どのくらい？
→ 調達管理や棚卸方法によるが、現実と管理のギャップ
期間がどのくらいであるかを把握することは重要。

25

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「経営者に心配してほしい４つのこと」のポイント ②
ポイント2. 把握しているモノのOSが最新でないのはどのくらいあるの？
・最新でない理由は把握できてる？
→ 納入時は最新でも以後一切アップデートされないことが多い。また、FDA承認時のバージョンに拘りがあるなど。
＜技術編＞P.23 「脆弱性アップデートの未実施」

・最新でないモノは外と完全に切り離している？
→ 「閉域網」を理由に堅牢化の必要がないと言い切るベンダーが多い＜技術編＞P.25 「真の原因 閉域網に依存したセキュリティモデルの崩壊」

ポイント3. ウィルス対策ソフトを動かしてないサーバは？
→ 画像処理等の負荷がかかるシステムでは、ウィルス対策ソフトを停止させる事が多い。

ポイント4. めちゃヤバい脆弱性が公表されたとき、うちに関係があるのかは、すぐにわかるの？
→ ベンダーの多くは重大な脆弱性が公表されても、保守契約等に明確に記述されなければ報告はない。
＜技術編＞P.15 「① VPN 装置 Fortigate の脆弱性」＜技術編＞P.23 「・脆弱性アップデートの未実施」

ポイント5. うちのネットワークって土管になってない？
※運用やメンテナンス効率を重視して必要のない通信を許している状態→ ネットワークを構成するルーター、スイッチ、FWでは、必要な通信だけを接続するようなデザインとするべきだが、
メンテナンスなどを目的とした通信は寛容になりやすい。また、バックアップはオフラインバックアップも必ず取得する。
＜技術編＞P.21 「⑤ RDP 接続が常時許可」＜技術編＞P.41 「復旧時間短縮のための教訓 （日常の備え）＜技術編＞P.43‐44 「ランサム攻撃に強いネットワーク構成例

26

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「経営者に心配してほしい４つのこと」のポイント ③
ポイント6. 情報システムの利用者管理は、採用・退職・人事異動の変化にどのくらい追従できてるの？
→ 院内での医療従事者は様々な立場や入替りがあり、リアルタイムにその役割に適した権限を管理することは普遍的な課題であると認識したうえで、システム調達時から意識するべき。
また、その煩雑さを理由に、共通アカウントや共通パスワード運用に流れていないか確認する事や、表向きの認証が
ユニークでもOSは共通パスワードになっていないか確認。＜技術編＞P.23 「 IC カードによる多要素認証の設定」
ポイント7. パスワード運用で楽してない？
・使い回しはどのくらいあるの？
→ パスワードの使い回しは例外なくNGとするべき。侵害行為を助長するほか、侵害範囲を広くし重大事故につながる。
＜技術編＞P.18 「③ Built-In Administrator のパスワードの使いまわし」＜技術編＞P.19 「④ファイル共有に栄養給食サーバーの管理者ID/PWを使用」＜技術編＞P.22 「⑥ 病院側サーバー系の Built-In Administrator PW を使いまわし」＜技術編＞P.23 「ユーザー全員が Domain Admins に所属」

・簡単なPWは使ってる？
→ 簡単なパスワードは破られると認識(ブルート・フォース、辞書攻撃など)＜技術編＞P.16 「② Built-In Administrator の PW が “P@ssw0rd”」＜技術編＞P.17 「OGMC の実際の攻撃に使用された辞書リスト（抜粋）」＜技術編＞P.39 「パスワードの強度は長さ」

・非常事態を理由にしてない？
→ 災害等の非常時を想定した、共通アカウント、共通パスワード、システムの非常事態モード(平常時の権限を無視)
はシステムを脆弱にする

27

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

「経営者に心配してほしい４つのこと」のポイント ④

セキュリティ対策の大まかな課題は理解した。 BCPを見直ししなければ。。。
ポイント8. 病院情報基幹システムや部門・診療科システムが止まったら、どのくらいの影響が出るの？
→ 仮にランサムウェアで攻撃され、バックアップを含めシステムの重要情報が暗号化されると、長期の業務停止に伴う減収が考えられる。自然災害BCPを参考に、紙カルテ運用、参照専用システム確保、バックアップからの復旧等を考慮し、最悪の被害額をシミュレーションしてみる。 ＜概要編＞P.14〜27 「様々な学び」

ポイント9. オフラインバックアップは？
→ セキュリティ対策による情報システムの堅牢化によりバックアップの保全性も改善されるが、オフラインバックアップの必要性は変わらない。 ＜技術編＞P.43〜44 「ランサム攻撃に強いネットワーク構成例」
ポイント10. ステークホルダーとの関係性は？
→ 事故発生時の初動対応(状況把握、証拠保全、分析(攻撃経路、手法、マルウエアなど))は、サーバーやPCの初期化範囲を決定する判断材料となるため、初動対応に協力してもらう、システムベンダー、セキュリティベンダーとは、契約内容の見直しや日常の関係性、非常時の連絡体制を整理しておく必要がある。
＜技術編＞P.32 「ランサム事案における復旧の考え方」

28

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

既存のBCPどのように見直すか〜見直しのポイント〜

29

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

サイバーリスクを想定したBCP
サイバーリスク用のBCPは、イチから作るべき？
徳島県つるぎ町立半田病院のランサムウェア事案とOGMC事例において、
自然災害を想定したBCPおよび教育・訓練は、ランサムウェア攻撃災害
においても十分役立てることができたことを考慮し、既存BCP(※)に対して如何に追記や改善を施すか、という方針が適切。

※ 次ページ以降の項目は、一部の病院で参考とされている平成29年度厚生労働省医政局地域医療計画課 救急・周産期医療等対策室が主催した、事業継続計画(BCP)策定研修(災害拠点病院等向け)で使用された、平成29年3月版「病院BCPを策定するための手引」を参考とした

30

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(１) 災害対応の基本方針／想定災害
想定災害として、近隣(遠隔)大地震による震災、近隣大事故に続き、特殊災害として
その特有の災害に合わせた記述を別の章立て、またはマニュアル化をする。
この特殊災害に「サイバー攻撃による基幹システムの停止」を含め、参照するべき中項目を列記するのが良い。
＜特殊災害＞
・ 感染症のアウトブレイク
・ 化学物質災害等
・ サイバー攻撃による基幹システムの停止

31

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(２) 災害対応の基本方針／平常時の災害準備体制 ①
災害対策委員会、危機管理委員会の他に、(例)サイバー対策委員会 を設け、サイバー攻撃による特有の災害を想定し、BCP全体のブラッシュアップを検討する。

(例)病院情報システム基幹系暗号化ランサムウェア事象 想定被害32

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(２) 災害対応の基本方針／平常時の災害準備体制 ②
サイバー対策委員会(仮)では、以下の備えを検討する。
※( )付きはBCPに関係なく、情報セキュリティの運用において必須の項目

・(ネットワーク機器の棚卸)・(ネットワーク機器の脆弱性管理)
・オフラインバックアップの整備
・安全なシステムイメージの取得
・ワープロ端末システムイメージの取得
・ステークホルダー連絡先整備

・(ネットワーク構成図の整備)
・(サーバー、クライアント一覧の整備)
・(外部接続ネットワーク装置一覧の整備)
・待機系電子カルテサーバーの整備
・運用環境のとりまとめ
・セキュリティベンダーとの事前打合せ
・USB型ポータブルコンピューターウイルススキャナーの導入

33

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(３) 事前準備／教育・災害訓練
今後の医療関連組織のDX化対応も見据え、包括的な企画・計画化が重要
BCPに追記すべき内容は、この包括的なセキュリティ教育・訓練の一環として、事業継続計画で必要となるものに絞り込むことが望ましい。
•システム障害(システム不具合、サイバー攻撃を含む)時の報告方法の教育と訓練•障害発覚時のシステムまたはサービス毎の障害状況確認の教育と訓練•災害対策本部の組織体制と機能に係る教育と訓練•被災状況確認(院内・近隣・遠隔)•災害対策本部設置基準(平常体制からの移行方法も含む)•災害対策本部組織図•災害時緊急連絡先一覧•本部の役割•初動対応の教育と訓練•バックアップからの復元訓練•復元以外の方法による最低限の医療業務継続に関する教育と訓練
34

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(４) 災害急性期／災害対策本部の設置 → (５)サイバー攻撃による災害は攻撃対象となった組織だけが知ることであり、当該組織が自ら
災害規模と事業継続への影響を判断したうえで災害対策本部の設置を決定する手順となり、BCP見直しを図る上で重要なポイントとなる。
・ 身代金目当てでないサイバー攻撃は、災害対策本部の設置及びBCP発出が
手遅れになる可能性がある。
・ 被害状況の把握(院内外)を先の行動とする(自然災害BCPと大きく異なる点)

35

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(5) 災害急性期／被害状況の把握 → (４)基幹システム停止を想定しBCP発動(災害対策本部の設置)を決定するには、院内で利用しているシステムやサービスに関して正常であるかを即座に確認する必要がある・ システム・サービス毎の正常稼働を簡易的に判断する方法を、システムベンダーと相談して準備しておく・ 正常稼働監視は平時の運用管理の延長線上にあることが理想。
平時から正常稼働状態を把握できれば、予兆的な気付きにもつながる

36

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(6) 災害急性期／各部門毎に振り分ける対応項目 ①
各部門(災害対応時に立ち上げる新たな部門と、既設の部門で災害時に平常時とは異なる
対応が必要となる部門)の災害時の対応の基本(責任者、連絡先、担当者、対応内容の概要)を、全職員の共通認識として理解しておくべきこと※アサインする人員がいない場合は、事前に外部協力組織や個人と相談しておく・ 初動対応・ サイバー攻撃の分析

警察が犯人逮捕のために優先する初動対応と分析は、復旧方針を判断する重要な情報となるため、早期復旧最優先でも同様に重要＜技術編＞P.32 「ランサム事案における復旧の考え方」(暫定システム構成管理、フォレンジック業者やシステム業者、警察組織との連携窓口)

・ バックアップ復元対応(システム業者と情報システム担当の連携)・ 有事の医療業務継続運用管理(各部門・診療科の責任者と情報システム担当の連携)

・ 復旧(マルウエア駆除、端末・サーバー初期化や再インストール)
37

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(6) 災害急性期／各部門毎に振り分ける対応項目 ②
以下に、初動対応に関する対処を列挙する (ランサムウエア感染の例)
・ バックアップシステムのLAN抜線
・ Syslog サーバーの保全
・ Firewall、VPN等外部接続点の遮断
・ 全サーバーセグメントの遮断、全サーバーのLAN抜線
・ クライアントセグメントの遮断、全クライアントのLAN抜線及び初期保全・ 被害範囲の特定
・ 攻撃グループの特定・ 情報漏洩の調査及び個人情報保護委員会への報告書提出
・ 侵入経路の特定・ 検体の取得と情報収集
・ コンピューターウイルス対策ソフトのパターン作成
・ 保全
・ フォレンジック調査
・ すべての資格情報のリセット
・ 攻撃手法の分析
38

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

(7) 中長期対応(亜急性期・慢性期対応)
中長期対応に関する記述は、前項(6)で述べた各部門の進捗状況や病院内外のニーズの変化に伴って対応すべき事柄毎にまとめる。

・ (例)基幹システム障害に陥った場合の紙カルテ運用に関する対処(※)
・ ワープロ端末用PC/サーバー初期化
・ ワープロ端末及びプリンター構築
・ ワープロ端末用インターネット接続ネットワーク構築
・ 印刷用紙、トナーの調達・ (例)参照系サーバ、待機系電子カルテの立上げ
以上の2例は、インシデント直後から必要な場合もある※紙カルテ運用では、手書きによるトラブルやインシデントが発生しやすくなる。特に、カタカナは形態類似性が高いため注意を要する。そのため、復旧前の段階からワープロ端末を用意し、手書きによる弊害を早期に排除する必要がある。

39

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

組織とITガバナンスの構築への取り組み＜OGMCの事例＞

40

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

＜OGMC事例＞ ITガバナンス改善方針検討のアクティビティ
１．ステークホルダ意識調査
医療機器・医療情報システムベンダー約50社に対する意識調査

2．ITガバナンス成熟度の高い病院への視察
ITガバナンス管理と情報システム中期計画に基づく調達活動の確認
人材育成とシステム調達時の病院主体での活動事例

ベンダーの対応状況等

3．ITガバナンス改善のための体制に関する検討
情報セキュリティの基本な考え方に関する議論
医療安全管理体制との比較分析
医療情報システム安全管理委員会設立要綱の検討
チェックシート(※)の作成とその運用に関する議論(※) 経営者に対する意識改善、およびベンダーに対する具体的要件の共有を目的として作成

41

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

＜OGMC事例＞ 情報セキュリティの基本な考え方の例(経営者に気にしてほしい４つのことと同様)
Monitor, Minimize, Identifyが
適切に管理(コントロール)できているか＝「ITに係るリクス管理」

安全を管理するべき資産や人が全て見えているか

Monitor

見えている資産や人についてMinimize,Identify
は機能しているか(監視と評価)Control(リスク管理)Minimize

Identify(攻撃面の最小化)(完全性、可用性の確保)(特定と認証)常に攻撃面が可能な限り最小化されているかITを利用する人・モノ(IoT)は全て特定され、必要な認証がなされているか

情報の完全性、可用性は担保されているか

42

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

＜OGMC事例＞ 医療安全管理体制との比較分析【比較分析のねらい】
・なぜ医療安全管理体制はガバナンスが確立されたか・アクティビティや会議体、ドキュメントの差異の確認

43

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

＜OGMC事例＞ ITガバナンス改善イメージ
コントロール＜Monitor＞
調達基準を策定し、各部署(ベンダー)都合を調整しながら調達を実施。資産管理をするには数種類の資産管理システムを導入する必要がある。
＜Minimize>
・脆弱性管理の対象となるオンプレシステムが多数あり、管理が煩雑・レガシーシステムとの格闘
・複数のID管理システムによるアクセスコントロール＜Identify＞
非現実的・適切なロール管理と認証(複数のID管理システム)(無駄が多い)非効率(運用)＜Monitor>
IT資産を可能な限り少なくする。(モニター対象の最小化)
・可能な限りオンプレシステムを調達しない(クラウド利用)・単一の資産管理システムで対応できるものだけを調達＜Minimize＞
・OS最新の維持(脆弱性管理の効率化)
・ポリシー管理徹底(OSメーカー推奨)
・シンプルなID管理システムによるアクセスコントロール＜Identify＞
・適切なロール管理と認証(シンプルなID管理システム)

理想的
あるある

効率
(運用)

(統制後回し)＜Monitor＞
各部署(ベンダー)都合で調達を実施し、資産管理は事実上困難。
＜Minimize＞
脆弱性管理の対象となるオンプレシステムが多数あり、セキュリティはベンダー任せ(丸投げ＝放棄)。
＜Identify＞
共有ID/PW、アクセスコントロール不適切。

＜Monitor>
IDS/IPS/FW監視、エンドポイント監視等のセキュリティ監視サービスに依存。
＜Minimize＞
世の中のインシデント傾向に合わせ、都度セキュリティ・ソリュー
ションの導入が必要。
＜Identify＞
共有ID/PW、アクセスコントロールはベンダー意識・技術に依存。

非コントロール
44

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

＜OGMC事例＞ チェックシート(例：経営者)イメージ(※) 経営者に対する意識改善、およびベンダーに対する具体的要件の共有を目的として作成

45

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

＜OGMC事例＞ 医療情報システム安全管理委員会運用イメージの検討
経営者及び
ステークホルダとの要件共有【ISO27002】

・アカウントポリシー
・ローカルポリシー・セキュリティオプション
・ローカルポリシー・監査
・ Domain Controllerログ設定仕様
・メンバーサーバー・クライアントログ設定仕様
・パーソナルFirewall仕様
・管理用テンプレート※他のGLとの紐付け【その他チェックシート・・・】【セキュリティの基本的な考え方】

解説【コントロール解説】【Monitor解説】【Minimize解説】【Identify解説】【調達・受入チェックシート】

基本的な考え方に基づく
チェックシートの作成

・経営者向けチェエクシート
・VPNチェックシート
・調達・受け入れチェックシート
・非常時情報共有(BYOD)チェックシート
・紙カルテ運用チェックシート【VPNチェックシート】【経営者向けチェックシート】【厚労省GL】

遵守状況のフィードバック

運用規程の見直し・ガバナンス維持・ダブルスタンダード回避

医療情報システム安全管理委員会

組織内教育・訓練及び課題の抽出【運用規程】【委員会】
・現状の把握・ガバナンス向上施策の検討
・施策の管理・運用規程見直し。

・運用規程更新の周知
・定期的な教育、訓練の実施
・現場での遵守に関する課題抽出
運用規程による啓発

46

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

情報セキュリティの基本的な考え方に基づくガバナンス改善イメージ(プロセス能力)プロセスの能力レベル

0

1

2

3

4

5

情報セキュリティにおける管理プロセス能力の状態(※)• 基本的な能力の欠如• ガバナンスとマネジメントの目的に取り組むための不完
全なアプローチ• 何らかのプロセス実践の意
図を満たす可能性がある

プロセスは多かれ少なかれ、十分に体系化されていない初期
または直感的として特徴付けることができる不完全な一連の活動を適用することによって、その目的を達成する。

プロセスは、実行済みとして特徴付けることができる基本的ながらも完全な一連の活動を適用す ることで、その目的を達成する。

プロセスは、組織資産を使用して、はるかに体系的な方法で目的を達成する。 プロセスは通常、明確に定義されている。

プロセスは、その目的を達成し、明確に定義され、その性能は (定量的に)測定される。

プロセスは、その目的を達成し、明確に定義 され、その性能は性能を改善するために測 定され、継続的な改善が追求される。

医療情報システム安全管理委員会(委員会)のプロ
セス能力の状況(Control)

医療情報システムを管理する会議体はあるが
目的を達成するプロセ
スは不完全委員会を設立(組織体
制・所掌業務の見直し、
小委員会制の設置など)を機にプロセスを構築しようとしている初期の段階

委員会は継続的に実施され、手始めに調達に関するガバナンスを構築しようとしている。チェックリストを利用し、個々のベンダー対応を把握し始め、委員会での目的達成に向けて活動を始めている。

委員会は都度必要となるプ
ロセスに関する規程や手続き(ワークフロー)をリリースし周知に向けて活動しており、現場との簡単なすり合わせ
により改定が都度実施されている。

必要なプロセスに関する規程や手続き(ワークフロー)は明確に定義され、委員会では、各プロセスが目的達成
に対する有効性を測定する術を確立し始めており、情報セキュリティに関するリスク
管理ができている。

委員会は情報セキュリティに関するリスク管理状況を踏
まえ、医療情報システムに関する戦略的な計画を対外的に示し、地域に対して医療情報システム安全管理の貢献が継続している。

Monitor

各部署(ベンダー)都合で調達を実施し、資産管理は事実上困難。

モニター対象の最小化に向けてクラウド利用及び単一の資産管理シス
テムで対応できることを優先する調達計画を立案し、それを踏まえたベ
ンダー選定が行われている

資産管理を徹底するための調達基準が設けられ、都度改定されている。

資産管理における管理精度(管理資産と現物のギャップ)が測定され、リスク管理の重要な要素となりはじめている

資産管理と医療情報シス
テムに関する戦略的な調達
計画は最適化しており、継続的に改善している

Minimize

脆弱性管理の対象となるオンプレシステムが多
数あり、セキュリティはベ
ンダー任せ(丸投げ＝放棄)

ベンダーのセキュリティに関する意識調査により、シス
テム調達はチェックリストを利用した要件の共有が
第一歩であると認識している

OS最新の維持(脆弱性管理の効率化)や、ポリシー管理徹底、
シンプルなID管理システムによるアクセスコントロール等にたいおうするベン
ダー選定が行われている

脆弱性管理の対象となるオ
ンプレシステムやレガシーシ
ステムの削減計画が立案され実施されている。ID管理システムによるアクセスコント
ロールはシンプル化に向かっている。

脆弱性管理対象の縮小化
が進み、新たな脆弱性情報に対する対処実績が測定され、リスク管理の重要な要素となりはじめている

脆弱性管理は常に効率的に実施されるよう、最適化されている。

Identify

共有ID/PW、アクセス
コントロール不適切

委員会において、適切なロール管理と認証(シンプルなID管理システム)を目指した調達が検討されている委員会において、適切なロール管理と認証(シンプルなID管理システム)を運用するための手順が明確に示され、周知されている

適切なロール管理と認証が、 適切なロール管理と認証は
現場の人事や役割の変化
常に最適化されている。
に追従できているか測定され、リスク管理の重要な要素となりはじめている(※)【引用】COBIT2019フレームワークからの抜粋

47

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンス改善方針
・ 情報セキュリティの課題共有・施策の進捗確認を実施できる会議体を設定し本質を見失わないようにする (話題によっては開催頻度を調整)
・ 経営者は、限られたリソースの配分や施策の優先順位付けなどの経営判断に関し、判断材料が揃うまで確認する (技術論は担当者・ベンダーおよび有識者で整理)・ 具体的な要件、対策やソリューション、運用手順など、専門性の高い議論や検討
は、チェックシート等を利用することで、ベンダーと共有する
・ 情報システム全体の調達方針に関して検討し、中長期的な視野で無駄やコスト低減を意識する48

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

まとめ

49

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

まとめ「ITガバナンスの欠如」から脱却するには、経営者が情報セキュリティを自分事として理解を深めるしか方法はない
なぜなら経営者は情報セキュリティに関し、「限られたリソース配分、施策の優先順位を判断できる材料は揃った」と思えるところまで理解しなければ、経営判断は到底できないだからセキュリティ担当者から、「経営者に心配してほしい４つのこと」を表明することで、潜在化している課題・問題を共有し、中長期的に施策を管理する
さらに

既存のBCPに、「サイバー攻撃による基幹システムの停止 」を想定リスクとして盛り込み、適切な見直しをする
50

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本日もご参加ありがとうございました。

※本日の講義でご紹介したリンク先は、アンケートに記載しております。
本研修ではリアルタイムでの質問はお受けしておりません。
ご質問のある方は、アンケートにご記入ください。

https://forms.gle/8uwnmwmNzNxbNgQM951

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業